GhostLock 5.10

Il s'agit d'un exploit racine du noyau pour l'Amazon Fire Max 11 (sunstone) et le Fire TV Stick 4K Max 2e génération / 2023 (karat), adapté de CVE-2026-43499 dans CyberMeowfia.

Appareils pris en charge

Deux appareils sont pris en charge, tous deux sous Fire OS 8. Chacun possède sa propre cible de compilation.

Fire Max 11 (sunstone)

Fire TV Stick 4K Max 2e génération (karat)

Compilation

Nécessite GNU Make et Android NDK r29.

make                 # Fire Max 11 (sunstone), la valeur par défaut
make PROJECT=karat   # Fire TV Stick 4K Max 2e génération

Ou compilez une archive zip distribuable, qui gère tout pour vous :

./makedist.sh                 # sunstone
PROJECT=karat ./makedist.sh   # karat

Le résultat est écrit dans dist/ghostlock-<project>-v<version>.zip, où la version provient du fichier VERSION (remplacez avec VERSION=x.y.z ./makedist.sh).

Utilisation

./root.sh

Sous Windows, exécutez root.bat.

Le script redémarre l'appareil, exécute l'exploit et vous place dans un shell racine une fois terminé. En cas d'échec, il réessaie automatiquement jusqu'à 8 fois.

Si l'appareil est connecté via USB, le script désactive également le Wi-Fi à chaque tentative, ce qui rend l'exploit nettement plus fiable.

En cas de succès, vous verrez une invite de shell racine comme celle-ci :

root@sunstone:/ #

Sur les versions plus récentes de Fire OS, Amazon a ajouté KASLR, donc l'exécution complète peut prendre quelques minutes. Soyez patient. Une fois en place, su fonctionne depuis n'importe quel adb shell jusqu'au prochain redémarrage.

Il existe également un shell lié sur 127.0.0.1:9999, maintenu ouvert tant que les droits racine durent. Le moyen le plus simple d'y accéder est d'exécuter nc sur l'appareil lui-même :

adb shell -t "nc 127.0.0.1 9999"

Ou redirigez le port et connectez-vous depuis l'hôte :

adb forward tcp:9999 tcp:9999
stty raw -echo; nc 127.0.0.1 9999; stty sane

[!ATTENTION] Pendant que vous êtes root, notre appareil utilise toujours dm-verity, donc toute modification des partitions system/vendor/etc. entraînera un brick.

Endommager des partitions critiques telles que LK, TEE ou Preloader entraînera également un brick. Utilisez cet exploit à vos propres risques.

Shell LM

Sur le Fire TV Stick, un second shell racine brut est ouvert sur 127.0.0.1:9060 pour Launcher Manager.

LM lance normalement son propre processus en tant qu'utilisateur système, mais il réutilise le port s'il est déjà ouvert. Ainsi, si l'exploit occupe 9060 avec un shell racine, il devrait fonctionner en tant que root à la place.

Exécutez d'abord l'exploit pour qu'il réclame le port, puis (re)lancez LM.

OTA

Les mises à jour OTA sont désactivées automatiquement dès que les droits racine sont obtenus. Une seule OTA peut vous faire passer sur une build non prise en charge ici, ou qui corrige l'exploit.

Les paquets exacts diffèrent entre la tablette et le Fire TV Stick ; l'exploit choisit le bon ensemble en fonction de l'appareil. Recherchez les lignes OTA: pm ... ok dans la sortie pour confirmer.

Si une étape signale not applied, exécutez-la vous-même depuis le shell racine.

Sur le Fire Max 11 (sunstone) :

pm disable com.amazon.device.software.ota
pm disable com.amazon.kindle.otter.oobe.forced.ota
sync

Sur le Fire TV Stick (karat) :

pm disable com.amazon.device.software.ota
pm clear com.amazon.device.software.ota
pm disable com.amazon.device.software.ota.override
pm disable-user com.amazon.sneakpeek
pm disable com.amazon.client.metrics
sync

Cela survit aux redémarrages mais pas à une réinitialisation d'usine. Pour réactiver, utilisez pm enable (ou pm enable-user) sur les mêmes paquets depuis un shell racine.

Crédits

• CyberMeowfia : exploit IonStack original (CVE-2026-43499)
• IonStackQuest3 : premier port public pour les noyaux 5.10
• Pro-me3us : collecte des URL de firmware karat
• sweenwolf : Launcher Manager, utilisé sur les FTV